Selon la Loi sur la protection des renseignements personnels dans le secteur privé (LPRPSP), toute personne exploitant une entreprise doit adopter et mettre en œuvre des mesures de protection des renseignements personnels qu’elle détient sur autrui. Le principe général de la LPRPSP est que la communication des renseignements personnels ne peut se faire qu’avec le consentement de la personne concernée. Dans certains cas exceptionnels prévus dans la LPRPSP, le consentement de cette dernière n’est pas nécessaire. Voyons trois exemples en assurance de dommages.

Rappel des obligations

Tous les dossiers détenus par les cabinets contiennent des renseignements personnels de nature confidentielle liés aux clients, comme le nom, l’adresse du domicile, les numéros de téléphone (domicile et cellulaire), l’adresse de courriel et les informations bancaires. En d’autres termes, un renseignement personnel est un renseignement concernant une personne physique et permettant de l’identifier.

La confidentialité des renseignements personnels doit être assurée à chacune des étapes de leur « cycle de vie » – collecte, communication, utilisation, détention, conservation et destruction –, et ce, quelles que soient la nature du support sur lequel les renseignements sont conservés et la forme sous laquelle ils sont accessibles, qu’elle soit écrite, graphique, sonore, visuelle, informatisée ou autre.

La personne concernée doit être informée de l’objet du dossier avant et pendant la collecte des renseignements personnels, c’est-à-dire les fins pour lesquelles les renseignements sont recueillis et inscrits au dossier. Elle doit aussi savoir comment seront utilisés les renseignements personnels, où ils seront conservés et qui y aura accès, en plus d’être informée de ses droits d’accès aux renseignements personnels à son dossier et de rectification de ces derniers. L’objectif est de lui permettre de donner un consentement manifeste, libre et éclairé. Afin d’être valable, le consentement, nécessaire également pour la communication ou l’utilisation des renseignements personnels, doit de plus être donné à des fins spécifiques et pour une durée déterminée.

Trois cas de communication à des tiers sans consentement préalable

Tout professionnel certifié en assurance de dommages a donc l’obligation de respecter la confidentialité des renseignements personnels qu’il détient à propos d’un client et ne les utiliser qu’aux fins pour lesquelles il les a obtenus, à moins d’une loi ou d’une ordonnance du tribunal le relevant de cette obligation¹.

Il existe ainsi dans la LPRPSP une dizaine de cas exceptionnels où la communication et l’utilisation des renseignements personnels peuvent se faire sans le consentement de la personne concernée, notamment à l’article 18. Par exemple, un renseignement personnel peut être transmis sans le consentement de la personne concernée « au directeur des poursuites criminelles et pénales si le renseignement est requis aux fins d’une poursuite pour infraction à une loi applicable au Québec » ou encore « à une personne qui, en vertu de la loi, peut recouvrer des créances pour autrui et qui le requiert à cette fin dans l’exercice de ses fonctions ». À noter toutefois que seuls les renseignements personnels indispensables seront fournis dans le cadre des fonctions ou de la poursuite illustrées ici.

Voici trois exemples concrets de ces situations exceptionnelles auxquelles ont déjà été confrontés des professionnels membres de la ChAD :

1. Citation à comparaître devant un tribunal

Un professionnel a reçu une citation à comparaître devant un tribunal et doit y produire le dossier qu’il détient sur un client. Puisqu’il ne lui est pas possible de refuser de comparaître ni de communiquer les éléments requis, il a communiqué avec la ChAD afin de savoir comment il devait s’y prendre pour se conformer tout en respectant la confidentialité des renseignements personnels contenus au dossier.

Si le document ou l’élément de preuve demandé par la cour contient des renseignements personnels, le professionnel doit, en le remettant, mentionner qu’il a l’obligation déontologique de protéger les renseignements qui s’y trouvent. Il ne s’agit toutefois pas de donner accès à la totalité du dossier si le tribunal requiert un seul élément relatif au litige. Rappelons que seule l’information nécessaire et indispensable doit être remise.

Le tribunal s’assurera quant à lui de respecter cette obligation de confidentialité. À titre d’exemple, lorsque les éléments de preuve soumis devant le Comité de discipline de la ChAD contiennent des informations personnelles sur des assurés, le comité émet une ordonnance de non-divulgation, de non-publication et de non-diffusion de tous les renseignements personnels permettant d’identifier les assurés mentionnés aux pièces déposées en preuve, et ce, en vertu de l’article 142 du Code des professions.

2. Demande d’information d’un ministère

Dans un autre cas, un professionnel a reçu une demande de transmission de renseignements sur un assuré émanant d’un ministère ou d’une entité gouvernementale, comme Revenu Québec. De plus, certains organismes ont, dans leur législation, des pouvoirs d’enquête qui leur permettent d’obtenir des renseignements personnels sans avoir à demander au préalable le consentement de la personne concernée.

En vertu de l’article 18 de la LPRPSP, le professionnel peut communiquer ces informations sans le consentement de l’assuré. Cependant, il s’assurera d’obtenir une demande écrite qui le relève de son obligation de confidentialité et de la conserver dans ses dossiers pour toutes fins ultérieures.

3. Enquête du Bureau du syndic ou de l’Autorité des marchés financiers

Si le dossier d’un client fait l’objet d’une enquête menée par le Bureau du syndic de la ChAD, celui-ci peut demander et obtenir les renseignements personnels sans le consentement de l’assuré. Il en va de même lors d’une enquête entreprise par l’Autorité des marchés financiers. Rappelons qu’en vertu de leur code de déontologie, les professionnels ont l’obligation de collaborer avec ces entités.

1. Code de déontologie des représentants en assurance de dommages, article 23, et Code de déontologie des experts en sinistre, article 22.

Publié originalement dans la ChADPresse automne 2017